待验证50% 置信注意事项精确时间
OAuth token 和 API key 都不适合直接写入配置文件长期存储，因为一旦泄露攻击者即可冒用身份访问资源
1
来源数
50%
置信度
长期有效
时效性
2026/9/30
首次发现
来源
涉及实体
相关事实
待验证API Key一旦泄露，攻击者即可在全球任何地点以密钥持有者身份无限制调用API，服务器无法区分正当调用与盗用调用72% 相似待验证共享账号模式下账号轮换插件需在本地管理认证凭证（如Session Token或OAuth Token），打破了Cursor原生安全链条，增加了数据泄露的攻击面71% 相似待验证由于服务器不记录调用方身份的历史状态，单凭一串API Key字符串就足以代表完整的身份权限，Key一旦泄露即可被无限制滥用68% 相似待验证Heap Code无遥测数据收集、无需注册账户，API密钥直接存储于操作系统密钥链而非明文配置文件67% 相似待验证API Key相比OAuth 2.0使用简单但安全性较低，最佳实践包括不硬编码、不提交到Git仓库、定期轮换密钥并设置使用限制67% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/961747API
curl https://kongchang.com/api/v1/knowledge/claims/961747MCP
get_claim(id=961747)